So vielseitig und praktisch der elektronische Datenaustausch auch ist, die Transport- und Zugriffssicherheit darf dabei nicht vernachlässigt werden. Dank der SuisseID sind digitale Identitäten beziehungsweise digitale Zertifikate oder Signaturen, die für diese Sicherheit sorgen, in der Schweiz aktuell in aller Munde. Was solche Lösungen versprechen und effektiv bringen, haben Sie im Artikel von Enno Hoffmann (ab Seite 42) erfahren. Wie sieht es aber in der Praxis aus? Bei Migros setzt man schon seit einigen Jahren auf digitale Zertifikate. Grund genug, einmal in Erfahrung zu bringen, wo man die Zertifikate heute einsetzt, was damit möglich ist, welche Erfahrungen man gemacht hat und wo die Vor- und Nachteile liegen.
Die sichere Übertragung von Informationen über das Internet und eine klare Benutzerauthentifikation, welche Zugriff auf IT-Anwendungen erlaubt, ist heute für alle Unternehmen der Migros-Gruppe eine Kernanforderung. Der Datenschutz für ihre Kunden, alle Cumulus-Benutzer und Lieferanten war und ist in der Migros seit Anbeginn ein sehr grosses Anliegen. Zu diesem Zweck hat der Detailhändler ein zentrales Identity-Management, das auf der Basis von digitalen Zertifikaten arbeitet, und eine Public-Key-Infrastruktur (PKI) aufgebaut. «Zertifikate sind die Lösung, alle neuen Kommunikationslösungen sicher zu machen. Und es ist das einzige Mittel, das skaliert», erklärt Rudolf Gisler, IT Application Security Officer beim Migros-Genossenschafts-Bund (MGB).
Grundsätzlich wird in der Migros-Gruppe heute für alles, was Datenschutz-relevant ist, ein digitales Zertifikat benötigt. Als Beispiel das Login: Jeder MGB-Mitarbeiter, der sich an einem PC oder von zu Hause via SSL-VPN-Verbindung anmelden will, braucht dazu ein Zertifikat. Ein herkömmliches Login mit Benutzername und Passwort ist nur noch in Ausnahmefällen möglich. Das Zertifikat steht den MGB-Angestellten in Form einer Smartcard von Aladdin (Safenet) zur Verfügung, die zudem auch gleich Mitarbeiterausweis ist. Diesen Ausweis steckt man in einen Kartenleser, der via USB-Kabel an einen PC (bei Notebooks ist der Leser integriert) angeschlossen ist. Damit haben alle Mitarbeitenden gleichzeitig auch die Möglichkeit, jederzeit ihre E-Mails zu verschlüsseln. Mit der Karte werden neben dem Arbeitsplatz-Login, der Dateiverschlüsselung, der Nachrichtenverschlüsselung und einem integrierten Single-Sign-on (SSO) auf Web-Anwendungen oder Windows-Anwendungen auch noch diverse andere Funktionen ermöglicht, beispielsweise die Zutrittsberechtigung beziehungsweise -überwachung in die Gebäude.
Die digitalen Zertifikate kommen im Speziellen auch im Personalwesen zum Einsatz. Hier werden laut Gisler sowohl Dateien als auch E-Mails verschlüsselt. Der Vorteil: Wichtige Dokumente müssen so heute nicht mehr per interne oder externe Post (eingeschrieben) versandt, sondern können auch digital sicher übermittelt werden. «Zudem ist der sichere Zugriff auf einzelne Systeme, wie beispielsweise das HR-Tool in SAP, durch die Zertifikatslösung geregelt», so Gisler.
Weiter setzt man bei Migros die Zertifikate auch in der Finanzabteilung, genauer für die digitale Mehrwertsteuerabrechnung ein, die digital signiert sein muss. «Und auch im Bereich der Cumulus-Karten kommen heute zur Verschlüsselung der Daten Zertifikate zum Zug», so Gisler. Früher setzte man dazu auf eine PGP-Lösung.
Insgesamt sind in der Migros-Gruppe heute mehrere Tausend Zertifikate im Einsatz. Alleine innerhalb des MGB sind es laut Gisler 2500 User, die ein Zertifikat haben. In den Industriebetrieben (zum Beispiel Bina, Jowa etc.) sind flächendeckend ebenfalls mehrere Tausend Zertifikate im Umlauf.
Die ersten digitalen Zertifikate zum sicheren elektronischen Datenverkehr hat Migros im Herbst 2004 eingeführt. Zuerst hat man diese Zertifikate selber ausgestellt. 2006 hat man sich dann aber für einen Wechsel zum Schweizer Anbieter Quovadis Trustlink entschlossen. Migros fungiert seitdem als Zwischenzertifizierungsstelle, das heisst, dass man die Zertifikate von Quovadis selbständig unter dem Namen von Migros ausstellt und sie dann an die Mitarbeitenden weitergibt.
Der Grund für den Wechsel zu Quovadis lag laut Rudolf Gisler darin, dass es sich beim St. Galler Spezialisten um eine öffentlich anerkannte Zertifizierungsstelle handelt. «Deren Zertifikate sind als Stamm- oder Root-Zertifikate in den gängigen Browsern vorinstalliert», erklärt er. Pop-ups mit Texten wie «Wollen Sie dem Zertifikat Migros vertrauen» entfallen so. «Das hat bei den Anwendern zu mehr Vertrauen und damit zu mehr Sicherheit geführt», ist Gisler überzeugt und fügt an: «Vertrauen ist ohnehin das Non-plus-Ultra im Retail-Geschäft.» Für Migros beziehungsweise die IT-Sicherheit-Architektur habe sich durch den Wechsel zu Quovadis derweil nicht viel geändert.
Die Vorteile der digitalen Zertifikate für die Migros-Gruppe haben wir bereits kennengelernt: Sie ermöglichen durch die Verschlüsselung von Daten und Nachrichten eine sicherere Kommunikation, erleichtern aber auch andere Prozesse wie das PC-Login und sorgen für die Erfüllung von gesetzlichen Richtlinien, die für gewisse Dienste gefordert sind. Gibt es aber auch Nachteile? Laut Rudolf Gisler durchaus: «Der grösste ist in unserem Fall ganz klar die Zweifaktor-Authentisierung. Ohne das physische Zertifikat (Mitarbeiterausweis) geht gar nichts.» Das heisst: Hat man die Karte zu Hause vergessen oder verloren, so kommt man weder ins Gebäude noch kann man sich an seinem PC einloggen. Benutzername und Passwort hingegen hat jeder im Kopf gespeichert – oder zumindest auf einem Zettel, der unter der Mausmatte liegt, notiert (siehe Artikel «Wertvolle Daten in unsicheren Händen» ab Seite 32). Um dieses Problem möglichst zu beseitigen, hat man bei Migros einiges investiert: Man hat eine Organisation aufgebaut, die dafür sorgt, dass Mitarbeitende sehr schnell und 24/7 eine Übergangslösung erhalten (ein virtuelles Zertifikat), und hat die dafür nötigen, umfangreichen Notfallprozesse aufgestellt.
Wieso hat man sich, trotz der bekannten Nachteile einer physischen Lösung, doch für eine Smartcard mit Kartenleser und gegen ein Soft-Zertifikat entschieden? «Wir haben vor der aktuellen Lösung bereits die Erfahrung gemacht, dass Hard- besser als Soft-Zertifikate sind», erklärt Rudolf Gisler. Physische Lösungen schaffen laut ihm mehr Bewusstsein. Der User nimmt mit Soft-Lösungen gar nicht mehr bewusst wahr, dass auf seinem PC sein persönliches Zertifikat gespeichert ist, welches durch Dritte allenfalls missbraucht werden könnte. Ein anderes Beispiel: Laut Gisler kommt es bei Soft-Zertifikat-Lösungen oft vor, dass man beim Neuaufsetzen eines Rechners oder bei einem Austausch schlicht vergisst, die Software-Zertifikate zu migrieren oder zu sichern, was dann zu Problemen führt.
Eine andere physische Zertifikatslösung wäre ein USB-Stick gewesen. Dadurch, dass man sich beim MGB aber von Anfang an dafür entschlossen hat, das digitale Zertifikat mit einem Foto zu kombinieren und einen Mitarbeiterausweis daraus zu machen, war eine solche Lösung bereits von vornherein vom Tisch. Dies, obwohl man mit einem USB-Stick insgesamt günstiger fahren würde: «Die Produktion der Karten plus die Leser sind teurer», erläutert Rudolf Gisler. Ausserdem gehe man bei einer Karte von einer grösseren Abnutzung aus und gebe ihr eine Lebensdauer von drei Jahren. Bei USB-Sticks rechnet man derweil mit fünf Jahren.
Mit der Einführung des Mitarbeiterausweises und der neuesten Generation der digitalen Zertifikatslösung hat man beim MGB einige weitere Lektionen gelernt, die für andere Unternehmen durchaus von Nutzen sein können. Zum Beispiel, dass die angestrebte «eine Lösung für alles» derzeit noch ein Traum ist: Für das SSO-Login in Oracle- und SAP-Systeme braucht man aktuell in der Regel immer noch deren eigene, proprietäre Lösungen.
Weiter setzt der Zertifikatseinsatz laut Gisler eine saubere Benutzer-Authentisierung voraus: «Ich muss ganz genau wissen, wer wer ist.» Ein Aufwand, der nicht zu unterschätzen sei.
Oft wird im Zusammenhang mit der Einführung von neuen Login-Lösungen auf Basis von Smartcards bemängelt, dass der Loginprozess insgesamt länger dauert. Ist das bei Migros so? «Nein, der Prozess ist nur subjektiv langsamer geworden», erklärt Rudolf Gisler. Heute startet man den PC, steckt die Karte ein, und dann muss man warten. Vorher durfte man noch Passwort und Name eingeben, was die Login-Zeit laut Gisler kürzer erscheinen liess.
Kleinere Verzögerungen gibt es dagegen beim verschlüsselten E-Mail-Verkehr, genauer beim Empfangsprozess. Im Vergleich zu einem herkömmlichen Öffnen einer Nachricht kommt bei verschlüsselten Meldungen natürlich das Entschlüsseln auf der Smartcard hinzu, das eine gewisse Zeit in Anspruch nimmt. Aber: Aktuell sind es in der Migros-Gruppe nur rund zwei Prozent aller Mails, die verschlüsselt ankommen. Und dafür nimmt man Verzögerungen scheinbar in Kauf: «Wir hatten auf jeden Fall noch keinen User, der sich darüber beschwert hat», meint Gisler.
Die Mitarbeiter sind laut Gisler auch mit der Zertifikatslösung insgesamt ganz zufrieden. «Abgesehen wird hierbei von Administratoren und Mitarbeitenden, die sich gleichzeitig an mehreren unterschiedlichen Arbeitsstationen mit dem gleichen Usernamen anmelden wollen. Diese schätzen sie nicht so», erklärt er. Der Grund: Ihre Flexibilität ist dadurch eingeschränkt. Sie können sich zum Beispiel nicht mehr einfach schnell an einen PC eines Mitarbeitenden setzen und dort wie gewohnt ihre Tools abrufen. Dazu sind nun ein paar weitere Schritte nötig.
Bei den externen Partnern (siehe Kasten), die auf einige Dienste nur noch Zertifikat-basiert Zugriff haben, sieht die Zufriedenheit da und dort schon etwas anders aus. Mancherorts wird das System gemäss Gisler durchaus als umständlich empfunden und die Frage in den Raum geworfen, warum das sein muss.» Diesen Leuten muss man allerdings nur die Sicherheitsaspekte vorhalten und aufzeigen, wie unsicher das Ganze heute ohne Zertifikate ist», meint Gisler. Logins mit Passwort und Benutzername sind laut dem Spezialisten viel zu schnell geknackt und wer wolle schon, dass seine Offerten oder Verträge neu von der Konkurrenz eingesehen werden können?
Eingangs haben wir die SuisseID erwähnt. Sie ist auch bei Migros ein Thema. «Unsere Systeme sind bereit dafür», erklärt Rudolf Gisler. Das heisst ganz konkret, dass Partner, die sich eine SuisseID kaufen oder bereits gekauft haben, Zugriff auf die Partner-Plattformen des Detailhändlers haben.
Intern ist die Einführung der SuisseID bei Migros derweil kein Thema. Für Rudolf Gisler gäbe es mit dem Einsatz der SuisseID in Unternehmen insbesondere beim angesprochenen Problemfall des Kartenverlustes oder -diebstahls noch offene Fragen: Wohin wende ich mich dann? An Quovadis oder die Post bzw. Swisssign? «Der gesamte Ersatzprozess würde sicher länger und damit teurer, als er es bei uns aktuell ist», glaubt Gisler.
Wenn in Zukunft für einen bestimmten Dienst, der für Migros sehr wichtig ist, eine SuisseID unbedingt vorausgesetzt ist, so ist das Bestreben des Unternehmens, direkt mit dem Anbieter eine Lösung zu finden und auch die «MigrosID» dafür zuzulassen. Wenn die Anzahl der Nachfrager nicht so gross ist, aber der Dienst sehr interessant, wird man durchaus auch die Anschaffung von einzelnen SuisseIDs für Mitarbeiter in Betracht ziehen, meint Gisler.
(mv)
